Kogo obejmuje ustawa

UoKSC dzieli podmioty na dwie kategorie: kluczowe i ważne. Przynależność do którejś z nich zależy od trzech czynników – rodzaju prowadzonej działalności (sektor wskazany w załączniku nr 1 lub 2 do ustawy), wielkości przedsiębiorstwa oraz, w części przypadków, niezależnie od wielkości.

• Podmiotem kluczowym jest podmiot z załącznika nr 1, który przewyższa progi średniego przedsiębiorstwa, a niezależnie od wielkości – dostawca usług DNS, kwalifikowany dostawca usług zaufania, podmiot krytyczny, rejestr domen najwyższego poziomu, operator obiektu energetyki jądrowej oraz część podmiotów publicznych wskazanych z nazwy.
• Podmiotem ważnym jest podmiot z załącznika nr 1 lub 2 spełniający próg średniego przedsiębiorstwa, a także niekwalifikowany dostawca usług zaufania, mniejszy przedsiębiorca komunikacji elektronicznej czy samorządowa jednostka realizująca zadania publiczne z użyciem systemów informacyjnych.
• Podmioty lecznicze niebędące przedsiębiorcami kwalifikuje samo zatrudnienie: od 50 do 249 osób – podmiot ważny, od 250 osób wzwyż – podmiot kluczowy.
• Gdy organizacja spełnia kryteria obu kategorii jednocześnie, ustawa przypisuje jej wyższy rygor – status podmiotu kluczowego.

Jak przebiega kwalifikacja i wpis do wykazu

Ustawa nie zawsze czeka, aż organizacja zgłosi się sama – część podmiotów, których dane widnieją w rejestrach publicznych, jest wpisywana do wykazu z urzędu. Tam, gdzie takiego wpisu nie ma, obowiązek spoczywa na podmiocie.

• Wniosek o wpis do wykazu podmiotów kluczowych i ważnych składa się w terminie 6 miesięcy od dnia spełnienia ustawowych przesłanek, wyłącznie elektronicznie – podpisany kwalifikowanym podpisem elektronicznym, podpisem zaufanym lub osobistym kierownika podmiotu albo osoby przez niego upoważnionej, albo opatrzony kwalifikowaną pieczęcią elektroniczną.
• Każdą zmianę danych objętych wpisem zgłasza się w ciągu 14 dni od jej zaistnienia.
• Wniosek zawiera oświadczenie kierownika złożone pod rygorem odpowiedzialności karnej za fałszywe oświadczenie (art. 233 § 6 k.k.) – wpis ma charakter deklaratoryjny, ale konsekwencje błędu w oświadczeniu są już karne.
• Organ właściwy do spraw cyberbezpieczeństwa może też, w szczególnych przypadkach, samodzielnie uznać podmiot za kluczowy lub ważny w drodze decyzji – wtedy dopiero od dnia jej doręczenia biegną terminy: 12 miesięcy na wdrożenie obowiązków rozdziału 3 ustawy i 24 miesiące na pierwszy audyt bezpieczeństwa. Dla podmiotów kwalifikujących się z mocy ustawy te same terminy liczy się od dnia spełnienia przesłanek – z zastrzeżeniami wynikającymi z harmonogramu wdrożenia (patrz: Ważne daty).

System zarządzania bezpieczeństwem informacji

Rdzeniem obowiązków z ustawy jest system zarządzania bezpieczeństwem informacji (SZBI), który podmiot kluczowy lub ważny musi wdrożyć w systemie informacyjnym wykorzystywanym do świadczenia usługi. Ustawa nie zostawia tu miejsca na dowolność – wymienia wprost, co SZBI ma zapewniać.

• Systematyczne szacowanie ryzyka wystąpienia incydentu i zarządzanie tym ryzykiem.
• Środki techniczne i organizacyjne proporcjonalne do oszacowanego ryzyka, w tym polityki bezpieczeństwa, zarządzanie aktywami i kontrolę dostępu.
• Bezpieczeństwo w cyklu życia systemu – nabywanie, rozwój, utrzymanie i testowanie infrastruktury.
• Bezpieczeństwo fizyczne, środowiskowe i bezpieczeństwo zasobów ludzkich.
• Kryptografię i szyfrowanie danych, uwierzytelnianie wieloskładnikowe oraz bezpieczne kanały komunikacji.
• Zbieranie informacji o cyberzagrożeniach i podatnościach oraz zarządzanie incydentami.

Podmioty ważne będące podmiotami publicznymi (poza wyjątkami) realizują odrębny, uproszczony wariant tego systemu, opisany w załączniku nr 4 do ustawy. Jego przegląd przeprowadza się co najmniej raz w roku, a poza tym bezzwłocznie – zarówno po wydaniu przez Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa rekomendacji dotyczącej systemów, produktów lub usług ICT tego podmiotu, jak i w razie wystąpienia okoliczności mogących wpłynąć na ryzyko incydentu poważnego i wymagających ponownego zrealizowania działań opisanych w systemie albo zmian w samym systemie.

Ciągłość działania i pozostałe filary bezpieczeństwa

Ustawa wprost łączy cyberbezpieczeństwo z ciągłością działania – SZBI musi obejmować plany ciągłości działania, plany awaryjne i plany odtworzenia działalności, wdrożone, udokumentowane i regularnie testowane, tak by usługa mogła być świadczona nieprzerwanie nawet po poważnym zdarzeniu.

• Bezpieczeństwo i ciągłość łańcucha dostaw ICT, z uwzględnieniem relacji z dostawcami sprzętu i oprogramowania oraz wyników ocen bezpieczeństwa prowadzonych na poziomie unijnym.
• Objęcie systemu informacyjnego monitorowaniem w trybie ciągłym oraz bieżąca ocena skuteczności wdrożonych środków.
• Regularne aktualizacje oprogramowania, ochrona przed nieuprawnioną modyfikacją i szybka reakcja na ujawnione podatności.
• Edukacja i cyberhigiena całego personelu wykorzystującego systemy informacyjne – to obowiązek stały, odrębny od corocznego szkolenia ustawowego, które dotyczy wyłącznie kierownika podmiotu oraz osoby, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa.

Zgłaszanie incydentów – terminy nieelastyczne

Klasyfikację incydentu jako poważny podmiot ustala samodzielnie, na podstawie właściwych progów uznania incydentu za poważny, określonych w przepisach krajowych lub unijnych dla danego sektora i podsektora. Od chwili wykrycia takiego incydentu liczy się czas.

• 24 godziny – wczesne ostrzeżenie do właściwego CSIRT sektorowego.
• 72 godziny – zgłoszenie incydentu poważnego, z oceną jego dotkliwości i skutków.
• Na żądanie CSIRT – sprawozdanie okresowe z przebiegu obsługi incydentu.
• Do miesiąca od zakończenia obsługi – sprawozdanie końcowe; jeśli obsługa incydentu przeciąga się poza ten termin, w międzyczasie przekazuje się sprawozdanie z postępu.

Podmiot ważny będący podmiotem publicznym jest zwolniony z przekazywania wczesnego ostrzeżenia oraz sprawozdań okresowego, z postępu i końcowego – pozostaje przy nim jednak obowiązek zgłoszenia incydentu poważnego w terminie 72 godzin. Niezależnie od kategorii podmiotu, ustawa nakłada też obowiązek informowania użytkowników usługi o poważnym cyberzagrożeniu i o środkach zapobiegawczych, jakie mogą podjąć, a także o samym incydencie poważnym, jeśli odbił się on niekorzystnie na świadczonej usłudze.

Nadzór, kontrole i audyty bezpieczeństwa

• Podmiot wyznacza co najmniej dwie osoby do kontaktu z krajowym systemem cyberbezpieczeństwa – jedną w przypadku mikro- lub małego przedsiębiorcy oraz jedną w przypadku podmiotu ważnego będącego podmiotem publicznym – i tworzy wewnętrzne struktury ds. cyberbezpieczeństwa albo zleca to dostawcy usług zarządzanych.
• Prowadzi dokumentację normatywną i operacyjną bezpieczeństwa systemu informacyjnego, aktualizowaną na bieżąco.
• Regularny audyt bezpieczeństwa co najmniej raz na 3 lata, na własny koszt, to obowiązek podmiotu kluczowego – z przekazaniem kopii raportu organowi właściwemu w ciągu 3 dni roboczych od jego otrzymania. Podmiot ważny takiego cyklicznego obowiązku nie ma.
• Organ właściwy do spraw cyberbezpieczeństwa może jednak w każdym czasie nakazać podmiotowi kluczowemu przeprowadzenie zewnętrznego audytu poza ustawowym harmonogramem, a podmiotowi ważnemu – w razie wystąpienia incydentu poważnego lub innego naruszenia przepisów ustawy.
• Osoby realizujące zadania z zakresu SZBI i obsługi incydentów muszą przedstawić zaświadczenie o niekaralności za przestępstwa przeciwko ochronie informacji.

UoKSC a RODO – dwa reżimy, jeden incydent

Ustawa nie zastępuje ogólnego rozporządzenia o ochronie danych (RODO) ani nie zwalnia z wynikających z niego obowiązków – działa równolegle do niego. Incydent bezpieczeństwa z udziałem danych osobowych trzeba więc rozpatrywać w dwóch reżimach jednocześnie.

• CSIRT-y krajowe przetwarzają dane osobowe pozyskane w związku z incydentami i cyberzagrożeniami – w niezbędnym zakresie także dane szczególnych kategorii (art. 9 RODO) oraz dane dotyczące wyroków skazujących i naruszeń prawa (art. 10 RODO) – wyłącznie w celu obsługi tych zdarzeń, z obowiązkiem anonimizacji najpóźniej po 5 latach.
• Na czas obsługi incydentu odroczona jest realizacja części praw osób, których dane dotyczą (m.in. dostępu do danych i ograniczenia przetwarzania) – ustawa przesuwa ich wykonanie do zakończenia sprawy, nie znosi ich.
• CSIRT-y publikują na swoich stronach informacje analogiczne do klauzuli informacyjnej RODO: dane administratora i inspektora ochrony danych, cele i podstawy przetwarzania, kategorie danych, okres ich przechowywania oraz prawo wniesienia skargi.
• Ustawa chroni przed podwójną karą pieniężną za ten sam czyn: jeśli Prezes Urzędu Ochrony Danych Osobowych prawomocnie ukarał już podmiot za naruszenie ochrony danych, organ właściwy do spraw cyberbezpieczeństwa nie wszczyna odrębnego postępowania o karę i poprzestaje na pouczeniu – może jednak nadal stosować wobec podmiotu inne środki nadzoru.

W praktyce oznacza to, że polityka bezpieczeństwa informacji budowana pod UoKSC i dokumentacja ochrony danych osobowych muszą być spójne – ten sam incydent może wymagać zgłoszenia zarówno do CSIRT, jak i do Prezesa UODO, w odrębnych terminach i na odrębnych zasadach.

Kary i odpowiedzialność kierownictwa

• Podmiot kluczowy – kara do 10 mln euro albo 2% rocznego przychodu, w zależności od tego, która kwota jest wyższa, nie mniej jednak niż 20 000 zł.
• Podmiot ważny – kara do 7 mln euro albo 1,4% rocznego przychodu, nie mniej niż 15 000 zł.
• Gdy naruszenie powoduje bezpośrednie i poważne zagrożenie dla bezpieczeństwa państwa, porządku publicznego, życia lub zdrowia ludzi, albo zagrożenie wywołania poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług – kara do 100 mln zł.
• Za zwłokę w wykonaniu decyzji nadzorczej – okresowa kara pieniężna od 500 do 100 000 zł za każdy dzień opóźnienia.
• Niezależnie od kary nałożonej na podmiot, ustawa przewiduje osobistą odpowiedzialność kierownika – co do zasady do 300% jego wynagrodzenia – za niewykonanie obowiązków związanych z SZBI, dokumentacją, zgłaszaniem incydentów czy szkoleniami. Dla kierownika podmiotu publicznego limit ten wynosi zwykle do 100% wynagrodzenia, chyba że podmiot podlega ustawie także z racji działalności w innym sektorze wskazanym w załączniku nr 1 lub 2 – wtedy obowiązuje próg 300%.